□云南省農(nóng)業(yè)信息中心 650224 陳 剛

1 電子商務(wù)中的信息安全技術(shù)

電子商務(wù)的信息安全在很大程度上依賴于技術(shù)的完善，這些技術(shù)包括：密碼技術(shù)、鑒別技術(shù)、訪問(wèn)控制技術(shù)、信息流控制技術(shù)、數(shù)據(jù)保護(hù)技術(shù)、軟件保護(hù)技術(shù)、病毒檢測(cè)及清除技術(shù)、內(nèi)容分類識(shí)別和過(guò)濾技術(shù)、網(wǎng)絡(luò)隱患掃描技術(shù)、系統(tǒng)安全監(jiān)測(cè)報(bào)警與審計(jì)技術(shù)等。

1.1 防火墻技術(shù)

防火墻（Firewall）是近年來(lái)發(fā)展的最重要的安全技術(shù)，它的主要功能是加強(qiáng)網(wǎng)絡(luò)之間的訪問(wèn)控制，防止外部網(wǎng)絡(luò)用戶以非法手段通過(guò)外部網(wǎng)絡(luò)進(jìn)入內(nèi)部網(wǎng)絡(luò)（被保護(hù)網(wǎng)絡(luò)）。它對(duì)兩個(gè)或多個(gè)網(wǎng)絡(luò)之間傳輸?shù)臄?shù)據(jù)包和鏈接方式按照一定的安全策略對(duì)其進(jìn)行檢查，來(lái)決定網(wǎng)絡(luò)之間的通信是否被允許，并監(jiān)視網(wǎng)絡(luò)運(yùn)行狀態(tài)。簡(jiǎn)單防火墻技術(shù)可以在路由器上實(shí)現(xiàn)，而專用防火墻提供更加可靠的網(wǎng)絡(luò)安全控制方法。

防火墻的安全策略有兩條。一是“凡是未被準(zhǔn)許的就是禁止的”。防火墻先是封閉所有信息流，然后審查要求通過(guò)的信息，符合條件的就讓通過(guò)；二是“凡是未被禁止的就是允許的”，防火墻先是轉(zhuǎn)發(fā)所有的信息，然后再逐項(xiàng)剔除有害的內(nèi)容，被禁止的內(nèi)容越多，防火墻的作用就越大。網(wǎng)絡(luò)是動(dòng)態(tài)發(fā)展的，安全策略的制定不應(yīng)建立在靜態(tài)的基礎(chǔ)之上。在制定防火墻安全規(guī)則時(shí)，應(yīng)符合“可適應(yīng)性的安全管理”模型的原則，即：安全=風(fēng)險(xiǎn)分析+執(zhí)行策略+系統(tǒng)實(shí)施+漏洞監(jiān)測(cè)+實(shí)時(shí)響應(yīng)。防火墻技術(shù)主要有以下三類：

1）包過(guò)濾技術(shù)（PackctFiltering）。它一般用在網(wǎng)絡(luò)層，主要根據(jù)防火墻系統(tǒng)所收到的每個(gè)數(shù)據(jù)包的源IP地址、目的IP地址、TCP/UDP源端口號(hào)、TCP/UDP目的端口號(hào)及數(shù)據(jù)包中的各種標(biāo)志位來(lái)進(jìn)行判定，根據(jù)系統(tǒng)設(shè)定的安全策略來(lái)決定是否讓數(shù)據(jù)包通過(guò)，其核心就是安全策略，即過(guò)濾算法的設(shè)計(jì)。

2）代理（Proxy）服務(wù)技術(shù)。它用來(lái)提供應(yīng)用層服務(wù)的控制，起到外部網(wǎng)絡(luò)向內(nèi)部網(wǎng)絡(luò)申請(qǐng)服務(wù)時(shí)的中間轉(zhuǎn)接作用。內(nèi)部網(wǎng)絡(luò)只接受代理提出的服務(wù)請(qǐng)求，拒絕外部網(wǎng)絡(luò)其他節(jié)點(diǎn)的直接請(qǐng)求。運(yùn)行代理服務(wù)的主機(jī)被稱為應(yīng)用機(jī)關(guān)。代理服務(wù)還可以用于實(shí)施較強(qiáng)的數(shù)據(jù)流監(jiān)控、過(guò)濾、記錄等功能。

3）狀態(tài)監(jiān)控（StatcInnspection）技術(shù)。它是一種新的防火墻技術(shù)。在網(wǎng)絡(luò)層完成所有必要的防火墻功能——包過(guò)濾與網(wǎng)絡(luò)服務(wù)代理。

1.2 加密技術(shù)

數(shù)據(jù)加密被認(rèn)為是最可靠的安全保障形式，它可以從根本上滿足信息機(jī)密性的要求，是一種主動(dòng)安全防范策略。數(shù)據(jù)加密就是按照確定的密碼算法將敏感的明文數(shù)據(jù)變換成難以識(shí)別的密文數(shù)據(jù)。通過(guò)使用不同的密鑰，可用同一加密算法，將同一明文加密成不同的密文。當(dāng)需要時(shí)可使用密鑰將密文數(shù)據(jù)還原成明文數(shù)據(jù)，稱為解密。

密鑰加密技術(shù)分為對(duì)稱密鑰加密和非對(duì)稱密鑰加密兩類。對(duì)稱加密技術(shù)是在加密與解密過(guò)程中使用相同的密鑰加以控制，它的保密度主要取決于對(duì)密鑰的保密。它的特點(diǎn)是數(shù)字運(yùn)算量小，加密速度快，弱點(diǎn)是密鑰管理困難，一旦密鑰泄露，將直接影響到信息的安全。非對(duì)稱密鑰加密法是在加密和解密過(guò)程中使用不同的密鑰加以控制，加密密鑰是公開(kāi)的，解密密鑰是保密的。它的保密度依賴于從公開(kāi)的加密密鑰或密文與明文的對(duì)照推算解密密鑰在計(jì)算上的不可能性。算法的核心是運(yùn)用一種特殊的數(shù)學(xué)函數(shù)——單向陷門(mén)函數(shù)，即從一個(gè)方向求值是容易的，但其逆向計(jì)算卻很困難，從而在實(shí)際上成為不可能。

除了密鑰加密技術(shù)外，還有數(shù)據(jù)加密技術(shù)。一是鏈路加密技術(shù)。鏈路加密是對(duì)通信線路加密；二是節(jié)點(diǎn)加密技術(shù)。節(jié)點(diǎn)加密是指對(duì)存儲(chǔ)在節(jié)點(diǎn)內(nèi)的文件和數(shù)據(jù)庫(kù)信息進(jìn)行的加密保護(hù)。

1.3 數(shù)字簽名技術(shù)

數(shù)字簽名（DigitalSignature）技術(shù)是將摘要用發(fā)送者的私鑰加密，與原文一起傳送給接收者。接收者只有用發(fā)送者的公鑰才能解密被加密的摘要。在電子商務(wù)安全保密系統(tǒng)中，數(shù)字簽名技術(shù)有著特別重要的地位，在電子商務(wù)安全服務(wù)中的源鑒別、完整性服務(wù)、不可否認(rèn)服務(wù)中都要用到數(shù)字簽名技術(shù)。

廣泛應(yīng)用的數(shù)字簽名方法有RSA簽名、DSS簽名和Hash簽名三種。Hash簽名是最主要的數(shù)字簽名方法，跟單獨(dú)簽名的RSA數(shù)字簽名不同，它是將數(shù)字簽名和要發(fā)送的信息捆在一起，所以更適合電子商務(wù)。

1.4 數(shù)字時(shí)間戳技術(shù)

在電子商務(wù)交易的文件中，時(shí)間是十分重要的信息，是證明文件有效性的主要內(nèi)容。在簽名時(shí)加上一個(gè)時(shí)間標(biāo)記，即有數(shù)字時(shí)間戳（DigitaTimestamp）的數(shù)字簽名方案。

2 數(shù)字認(rèn)證及數(shù)字認(rèn)證授權(quán)機(jī)構(gòu)

2.1 數(shù)字證書(shū)

數(shù)字證書(shū)也叫數(shù)字憑證、數(shù)字標(biāo)識(shí)，它含有證書(shū)持有者的有關(guān)信息，以標(biāo)識(shí)他的身份。數(shù)字證書(shū)克服了密碼在安全性和方便性方面的局限性，可以控制哪些數(shù)據(jù)庫(kù)能夠被查看，因此提高了總體的保密性。

數(shù)字證書(shū)的內(nèi)容格式是CCTTTX.509國(guó)際標(biāo)準(zhǔn)規(guī)定的，通常包括以下內(nèi)容：證書(shū)所有者的姓名；證書(shū)所有者的公共密鑰；公共密鑰（證書(shū)）的有效期；頒發(fā)數(shù)字證書(shū)單位名稱；數(shù)字證書(shū)的序列號(hào)；頒發(fā)數(shù)字證書(shū)單位的數(shù)字簽名。

數(shù)字證書(shū)通常分為三種類型，即個(gè)人證書(shū)、企業(yè)證書(shū)、軟件證書(shū)。個(gè)人證書(shū)（PersonalDigital）為某一個(gè)用戶提供證書(shū)，幫助個(gè)人在網(wǎng)上安全操作電子交易。個(gè)人數(shù)字證書(shū)是向?yàn)g覽器申請(qǐng)獲得的，認(rèn)證中心對(duì)申請(qǐng)者的電子郵件地址、個(gè)人身份及信用卡號(hào)等核實(shí)后，就發(fā)給個(gè)人數(shù)字證書(shū)，并安置在用戶所用的瀏覽器或電子郵件的應(yīng)用系統(tǒng)中，同時(shí)也給申請(qǐng)者發(fā)一個(gè)通知。企業(yè)證書(shū)，就是服務(wù)器證書(shū)（ServerID），是對(duì)網(wǎng)上服務(wù)器提供的一個(gè)證書(shū)，擁有Web服務(wù)器的企業(yè)可以用具有證書(shū)的Internet網(wǎng)站（Web Site）來(lái)做安全的電子交易。軟件證書(shū)通常是為網(wǎng)上下載的軟件提供證書(shū)，證明該軟件的合法性。

2.2 電子商務(wù)數(shù)字認(rèn)證授權(quán)機(jī)構(gòu)

電子商務(wù)交易需要電子商務(wù)證書(shū)，而電子商務(wù)認(rèn)證中心（CA）就承擔(dān)著網(wǎng)上安全電子交易認(rèn)證服務(wù)、簽發(fā)數(shù)字證書(shū)并確認(rèn)用戶身份的功能。

CA主要提供下列服務(wù)：有效實(shí)行安全管理的設(shè)施；可靠的風(fēng)險(xiǎn)管理以及得到確認(rèn)和充分理解。接受該系統(tǒng)服務(wù)的電子商務(wù)用戶也應(yīng)充分信任該系統(tǒng)的可信度。CA具有證書(shū)發(fā)放、證書(shū)更新、證書(shū)撤銷、證書(shū)驗(yàn)證等四大職能。

3 電子商務(wù)信息安全協(xié)議

3.1 安全套接層協(xié)議

安全套接層協(xié)議（SecureSockets Layer，SSL）是由 NetscapeCommunication公司1994年設(shè)計(jì)開(kāi)發(fā)的，主要用于提高應(yīng)用程序之間的數(shù)據(jù)的安全系數(shù)。SSL協(xié)議的整個(gè)概念可以被總結(jié)為：一個(gè)保證任何安裝了安全套接層的客戶和服務(wù)器之間事務(wù)安全的協(xié)議，該協(xié)議向基于TCP/IP的客戶/服務(wù)器應(yīng)用程序提供了客戶端與服務(wù)的鑒別、數(shù)據(jù)完整性及信息機(jī)密性等安全措施。

SSL安全協(xié)議主要提供三方面的服務(wù)。一是用戶和服務(wù)器的合法性保證，使得用戶與服務(wù)器能夠確信數(shù)據(jù)將被發(fā)送到正確的客戶機(jī)和服務(wù)器上?？蛻魴C(jī)與服務(wù)器都有各自的識(shí)別號(hào)，由公開(kāi)密鑰編排。為了驗(yàn)證用戶，安全套接層協(xié)議要求在握手交換數(shù)據(jù)中作數(shù)字認(rèn)證，以此來(lái)確保用戶的合法性；二是加密數(shù)據(jù)以隱藏被傳遞的數(shù)據(jù)。安全套接層協(xié)議采用的加密技術(shù)既有對(duì)稱密鑰，也有公開(kāi)密鑰，在客戶機(jī)和服務(wù)器交換數(shù)據(jù)之前，先交換SSL初始握手信息。在SSL握手信息中采用了各種加密技術(shù)，以保證其機(jī)密性與數(shù)據(jù)的完整性，并且經(jīng)數(shù)字證書(shū)鑒別；三是維護(hù)數(shù)據(jù)的完整性。安全套接層協(xié)議采用Hash函數(shù)和機(jī)密共享的方法來(lái)提供完整的信息服務(wù)，建立客戶機(jī)與服務(wù)器之間的安全通道，使所有經(jīng)過(guò)安全套接層協(xié)議處理的業(yè)務(wù)能全部準(zhǔn)確無(wú)誤地到達(dá)目的地。

3.2 安全電子交易公告

安全電子交易公告（SET：Secure ElectronicTransactions）是為在線交易設(shè)立的一個(gè)開(kāi)放的、以電子貨幣為基礎(chǔ)的電子付款系統(tǒng)規(guī)范。SET在保留對(duì)客戶信用卡認(rèn)證的前提下，又增加了對(duì)商家身份的認(rèn)證。SET已成為全球網(wǎng)絡(luò)的工業(yè)標(biāo)準(zhǔn)。

SET安全協(xié)議的主要對(duì)象包括：消費(fèi)者（包括個(gè)人和團(tuán)體），按照在線商店的要求填寫(xiě)定貨單，用發(fā)卡銀行的信用卡付款；在線商店，提供商品或服務(wù)，具備使用相應(yīng)電子貨幣的條件；收單銀行，通過(guò)支付網(wǎng)關(guān)處理消費(fèi)者與在線商店之間的交易付款；電子貨幣發(fā)行公司以及某些兼有電子貨幣發(fā)行的銀行。負(fù)責(zé)處理智能卡的審核和支付；認(rèn)證中心，負(fù)責(zé)確認(rèn)交易對(duì)方的身份和信譽(yù)度，以及對(duì)消費(fèi)者的支付手段認(rèn)證。

3.3 安全超文本傳輸協(xié)議（S-HTTP）

依靠密鑰的加密，保證Web站點(diǎn)間的交換信息傳輸?shù)陌踩?。S-HTTP對(duì)HT-TP的安全性進(jìn)行了擴(kuò)充，增加了報(bào)文的安全性，是基于SSL技術(shù)的。該協(xié)議向互聯(lián)網(wǎng)的應(yīng)用提供完整性、可鑒別性、不可抵賴性及機(jī)密性等安全措施。

3.4 安全交易技術(shù)協(xié)議（STT）

STT將認(rèn)證與解密在瀏覽器中分離開(kāi)，以提高安全控制能力。

4 電子商務(wù)中的信息安全對(duì)策

4.1 提高對(duì)網(wǎng)絡(luò)信息安全重要性的認(rèn)識(shí)

在思想上要把信息資源共享與信息安全防護(hù)有機(jī)統(tǒng)一起來(lái)，樹(shù)立維護(hù)信息安全就是保生存、促發(fā)展的觀念。提高公民的網(wǎng)絡(luò)安全意識(shí)與自覺(jué)性，學(xué)會(huì)維護(hù)網(wǎng)絡(luò)安全的基本技能。

4.2 加強(qiáng)網(wǎng)絡(luò)安全管理

我國(guó)網(wǎng)絡(luò)安全管理除現(xiàn)有的部門(mén)分工外，要建立一個(gè)具有高度權(quán)威的信息安全領(lǐng)導(dǎo)機(jī)構(gòu)。只有在中央建立起這樣一個(gè)組織，才能有效地統(tǒng)一、協(xié)調(diào)各部門(mén)的職能，研究未來(lái)趨勢(shì)，制定宏觀政策，實(shí)施重大決定。對(duì)于計(jì)算機(jī)網(wǎng)絡(luò)使用單位，要嚴(yán)格執(zhí)行《中華人民共和國(guó)計(jì)算機(jī)信息系統(tǒng)安全保護(hù)條例》與《計(jì)算機(jī)信息網(wǎng)絡(luò)安全保護(hù)管理辦法》，建立本單位、本部門(mén)、本系統(tǒng)的組織領(lǐng)導(dǎo)管理機(jī)構(gòu)，明確領(lǐng)導(dǎo)及工作人員責(zé)任，制定管理崗位責(zé)任制及有關(guān)措施，嚴(yán)格遵守內(nèi)部安全管理機(jī)制。

4.3 加快網(wǎng)絡(luò)安全專業(yè)人才的培養(yǎng)

我國(guó)需要大批信息安全人才來(lái)適應(yīng)新的網(wǎng)絡(luò)安全保護(hù)形勢(shì)。應(yīng)該加大對(duì)有良好基礎(chǔ)的科研教育基地的支持和投入，在人才培養(yǎng)中要注重加強(qiáng)與國(guó)外的經(jīng)驗(yàn)技術(shù)交流，及時(shí)掌握國(guó)際上最先進(jìn)的安全防范手段和技術(shù)措施，確保在較高層次上處于主動(dòng)。要加強(qiáng)對(duì)內(nèi)部人員的網(wǎng)絡(luò)安全培訓(xùn)，防止堡壘從內(nèi)部攻破。

4.4 抓緊網(wǎng)絡(luò)安全基礎(chǔ)設(shè)施建設(shè)

國(guó)民經(jīng)濟(jì)要害部門(mén)的基礎(chǔ)設(shè)施要通過(guò)建設(shè)一系列的信息安全基礎(chǔ)設(shè)施來(lái)實(shí)現(xiàn)。為此，需要建立中國(guó)的公開(kāi)密鑰基礎(chǔ)設(shè)施、信息安全產(chǎn)品檢測(cè)評(píng)估基礎(chǔ)設(shè)施、應(yīng)急響應(yīng)處理基礎(chǔ)設(shè)施等。

4.5 建立網(wǎng)絡(luò)風(fēng)險(xiǎn)防范機(jī)制

在網(wǎng)絡(luò)建設(shè)與經(jīng)營(yíng)中，因?yàn)榘踩夹g(shù)滯后、道德規(guī)范蒼白、法律疲軟等原因，往往會(huì)使網(wǎng)絡(luò)經(jīng)營(yíng)陷于困境，這就必須建立網(wǎng)絡(luò)風(fēng)險(xiǎn)防范機(jī)制。為網(wǎng)絡(luò)安全而產(chǎn)生的防止和規(guī)避風(fēng)險(xiǎn)的方法有多種，但總的來(lái)講不外乎危險(xiǎn)產(chǎn)生前的預(yù)防、危險(xiǎn)發(fā)生中的抑制和危險(xiǎn)發(fā)生后的補(bǔ)救。有學(xué)者建議，網(wǎng)絡(luò)經(jīng)營(yíng)者可以在保險(xiǎn)標(biāo)的范圍內(nèi)允許標(biāo)保的財(cái)產(chǎn)進(jìn)行標(biāo)保，并在出險(xiǎn)后進(jìn)行理賠。

4.6 促進(jìn)網(wǎng)絡(luò)安全產(chǎn)業(yè)的發(fā)展

扶持具有中國(guó)特色的信息安全產(chǎn)業(yè)的發(fā)展是振興民族信息產(chǎn)業(yè)的一個(gè)切入點(diǎn)，也是維護(hù)網(wǎng)絡(luò)安全的必要對(duì)策。為了加速發(fā)展我國(guó)的信息安全產(chǎn)業(yè)，需要盡快解決資金投入、對(duì)外合作、產(chǎn)品開(kāi)發(fā)、安全評(píng)測(cè)、銷售管理、采購(gòu)政策、利益分配等方面存在的問(wèn)題。

[1]吳世忠，馬芳（譯）.網(wǎng)絡(luò)信息安全的真相 [M].北京：機(jī)械工業(yè)出版社，2001，9，1.

[2]許治坤，王偉，郭添森，楊冀龍，網(wǎng)絡(luò)滲透技術(shù)[M].北京：電子工業(yè)出版社，2005，5，11.

[3]楊義先.網(wǎng)絡(luò)安全理論與技術(shù)［M］.北京：人民郵電出版社，2003.